Operational Resilience & DORA: Kurumlar İçin Operasyonel Süreklilik ve Dora

1. Operational Resilience (Operasyonel Dayanıklılık) Neden Bugün Kritik?

Soru: Operasyonel Dayanıklılık neden artık bu kadar önemli?

Cevap: Kurumlar artık sadece riskleri pasif bir şekilde yönetmekle yetinemez; kritik hizmetlerini kesintisiz sürdürmeyi hedeflemelidir.

Geleneksel Risk Yönetimi (Reaktif):

• Riskleri tanımlar ve olasılık hesaplar.

  
  

• Statik kontrolleri uygular.

  
  

• Olay gerçekleştikten sonra aksiyon alır.

  
  

Modern Resilience Yaklaşımı (Proaktif):

• Regülasyon Zorunluluğu: Hizmet sürekliliği artık bir tercih değil, yasal bir yükümlülük.

  
  

• Uçtan Uca Teknoloji Bağımlılığı: Süreçlerin dijitalleşmesi, hata payını sıfıra indirdi.

  
  

• Ekosistem Riski: Üçüncü tarafların (Cloud, SaaS vb.) operasyonun merkezine yerleşmesi.

  
  

Özet: Klasik risk yönetimi kesintinin etkilerini ve kurtarma planlarına odaklanırken; Modern yaklaşım kesinti anında operasyonel sürekliliği ayakta tutarak hizmeti devam ettirmeyi hedefler.

2.  Kurumların Yönetmek Zorunda Olduğu 5 Kritik Alan

Operasyonel Süreklilik çerçevesinde yönetilmesi gereken ana sütunlar şunlardır:

I. Kritik İş Hizmetleri

• Soru: Hangi servisler Kritik Olarak Sınıflandırılmalı?

  
  

• Tanım: Kesintiye uğradığında müşteriye, finansal sisteme , regülasyona, itibara veya operasyonel sürekliliğie doğrudan zarar veren servisler.

  
  

• Kritik Riskler: Servislerin yanlış önceliklendirilmesi ve iş etki analizinin (BIA) güncel olmaması/eksik olması.

  
  

II. Bağımlılık Haritalama

• Soru: Bir servisi ayakta tutan temel elementler nelerdir?

  
  

• Bileşenler: Uygulamalar, Altyapı, İnsan Kaynağı ve Üçüncü Taraflar.

  
  

• Kritik Riskler: Bağımlılık süreçte hizmet veremediği zamanlar için yedeğinin olmaması.

  
  

III. Üçüncü Taraf ve Tedarik Zinciri Yönetimi

• Soru: Tedarikçiniz çökerse B planınız var mı?

  
  

• Cevap: Kurumlar artık dış servisler (Bulut sağlayıcılar, ödeme sistemleri) olmadan çalışamaz.

  
  

• Kritik Riskler: Tedarikçi kesintilerinin domino etkisi yaratması ve DORA kapsamındaki izleme eksiklikleri.

  
  

IV. Şiddetli Fakat Olası Senaryo Testleri

• Soru: Kâğıt üzerindeki planlar gerçek krizde çalışır mı?

  
  

• Senaryolar: Siber saldırılar, geniş çaplı veri merkezi kesintileri veya kritik tedarikçi iflasları.

  
  

• Kritik Riskler: Test edilmemiş planların yarattığı sahte güven duygusu ve RTO/MAO sürelerinin aşılması.

  
  

V. ICT Risk Yönetimi (DORA Perspektifi)

• Soru: Teknoloji riskini operasyonel riskten ayırabilir misiniz?

  
  

• Odak: Finansal sistemlerin dijital omurgasını korumak.

• Kritik Riskler: Yetersiz loglama, yavaş olay müdahalesi ve regülasyon uyumsuzluğu cezaları.

3. "Biz Zaten Uyumluyuz" Yanılgısı

Pek çok kurum mevcut sertifikasyonlarını (ISO 27001, ISO 22301 vb.) yeterli görür. Ancak operasyonel süreklilik bu standartların ötesine geçer:

Geleneksel Uyumluluk	Operasyonel Süreklilik (DORA)
Varlık odaklıdır (Sunucu, Veri).	Servis odaklıdır (Para Transferi, Mevduat).
Kesintiyi önlemeye odaklanır.	Kesinti anında hayatta kalmaya odaklanır.
İç süreçlere odaklanır.	Tüm tedarik zincirini kapsar.
Yıllık statik testler yapılır.	Dinamik ve şiddetli senaryolar zorunludur.

4. Stratejik Yol Haritası: Ne Yapmalı?

• Hizmetleri Katalogla: Önce en kritik servisler belirlenir ve iş etki limitlerini koyulur. (RTO/RPO/MAO).

  
  

• Görünürlük Sağla: Uçtan uca bağımlılık haritası ve alternatifler çıkarılır

  
  

• Tedarikçiyi Denetle: Kritik tedarikçilerini "stratejik ortak" olarak konumlandır ve düzenli periyotlarla tedarikçi risk değerlendirme

  
  

• Gerçekçi Test Et: "Her şeyin çöktüğü" senaryoları masaya yatır ve kurtarma planları yedek çalışanlarla test et.

  
  

• DORA’ya Entegre Ol: ICT risk framework'ünü regülasyona göre yeniden yapılandır.

5. Hızlı Gerçeklik Testi

Aşağıdaki sorulardan birine bile "Hayır" veya "Emin değilim" diyorsanız, operasyonel kırılganlığınız bir iyileştirme noktası demektir:

• En kritik 3 iş servisiniz kesintiye uğrarsa, telafi edilemez zarar süresi (MAO) kaç dakikadır?

  
  

• Bu servislerin hangi bulut sağlayıcısına veya dış kaynağa bağlı olduğunu biliyor musunuz?

  
  

• En kritik tedarikçiniz şu an hizmet veremez hale gelse, manuel bir B planınız var mı?

  
  

• Son 6 ay içinde "Severe but Plausible" (Şiddetli ama olası) bir senaryo testi yaptınız mı?

GRC Araçlarının Rolü ve Kritik Bir Soru

Soru: Operasyonel dayanıklılık süreçlerini manuel yöntemlerle (Excel vb.) yönetmek neden sürdürülebilir değildir ve bir GRC tool'u burada nasıl bir fark yaratır?

Cevap: Çünkü Operational Resilience, statik bir veri değil; yaşayan bir ekosistemdir. Manuel yönetimde veriler birbirinden kopuktur, oysa Archer gibi bir GRC aracı bu parçaları birbirine bağlayan "merkezi sinir sistemi" görevini görür.

Sonuç

Operasyonel süreklilik bir 'proje' değil, bir kültür ve hayatta kalma stratejisidir. DORA ile birlikte bu strateji, artık kurumların finansal sağlığının en temel ölçütü haline gelmiştir. Bu karmaşık ekosistemi manuel yöntemlerle yönetmeye çalışmak kurumun kendisini bir risk haline getirirken; GRC araçlarıyla desteklenen proaktif bir yaklaşım, belirsizlik anlarında sadece ayakta kalmayı değil, rakiplerin önüne geçmeyi sağlar. Nihayetinde dayanıklılık, dijital dünyada güvenin en somut teminatıdır.